Risiken von Open Source Software
4 gefällt mir3,251 aufrufe
Das Dokument behandelt die Risiken und Vorteile von Open Source Software und gibt Hinweise für den professionellen Einsatz sowie rechtliche Grundlagen. Es erklärt die Funktionsweise von Open Source Projekten, die Herausforderungen und Best Practices im Umgang mit offenen Lizenzen und verdeutlicht die Notwendigkeit einer durchdachten Strategie zur Risikominderung. Abschließend werden verschiedene Einsatzzwecke von Open Source Software in Organisationen und die Rolle externer Anbieter beschrieben.
![Copyleft Effekt
• Copyleft bezweckt, dass ein bestimmter Source
Code für immer frei erhältlich bleibt.
• Durch eine Copyleft Klausel geschützter Source
Code darf immer nur unter der ursprünglichen
Open Source Lizenz weitergegeben werden (sog.
viraler Effekt).
• Der Copyleft Effekt verbietet:
• dass die veränderte Software („derived Copyleft-Klausel, z.B. aus
work“) proprietär vertrieben wird der GNU General Public
License, version 3 (GPLv3)
• Der Copyleft Effekt verbietet nicht:
“[…] If you distribute
• die unveränderte Nutzung copies of such a program,
• die Organisations-interne Entwicklung whether gratis or for a fee,
Beachten: Verbreitung von Software innerhalb you must pass on to the
einer Unternehmensgruppe gilt als recipients the same
Veröffentlichung -> Folge: Source Code muss freedoms that you
intern mitgeliefert werden received. You must make
• den Aufruf von Copyleft geschützten sure that they, too, receive
selbständigen Programmteilen durch or can get the source code.
proprietär vertriebene Software And you must show them
these terms so they know
ISACA AHS – Risiken von Open Source Software their rights. […]” 2011 | 27
30. August](https://image.slidesharecdn.com/isacaahs-risikenvonopensourcesoftware-110831015556-phpapp01/85/Risiken-von-Open-Source-Software-28-320.jpg)
Risiken von Open Source Software
- 1. Risiken von Open Source Software Dr. Matthias Stürmer, Ernst & Young ISACA After Hours Seminar 30. August 2011, Zürich
- 2. CV Matthias Stürmer Phone: +41 58 286 61 97 Mobile: +41 58 289 61 97 Email: matthias.stuermer@ch.ey.com Background Skills • Senior, Advisory, EMEIA Financial Services • Advisory on open source project management, open source community • Matthias Stürmer joined Ernst & Young in 2010 building and governance, open source and is based in Bern, Switzerland licenses, open source software and • lic.rer.pol. in studies of business administration and technologies computer science at University of Bern • Advisory on software development • Dr. sc. ETH Zürich with doctoral dissertation at the methodologies, software architecture Chair of Strategic Management and Innovation of ETH assessments, software development Zürich project management, vendor lock-in • Research on innovation strategies, knowledge theory, analysis technology management and software development • Advisory on Internet standards and focusing on open source communities and firm formats, web technologies and involvement frameworks, content management • Founder and secretary of the Swiss National systems Parliamentarian Group for Digital Sustainability • Advisory on Open Government Data • Member of the Board of initiatives, technologies, and policies Swiss Open Systems User Group /ch/open • Advisory on social media governance, • Languages: German (native), English (fluent), Spanish social media strategies, social media (working knowledge), French (working knowledge) platforms, tools, and technologies ISACA AHS – Risiken von Open Source Software 30. August 2011 | 1
- 3. Agenda 1. Wie Open Source Projekte funktionieren 2. Vorteile, Risiken und Good Practices mit Open Source 3. Professioneller Einsatz von Open Source Software 4. Rechtliche Grundlagen von Open Source 5. Fazit und Ausblick Inhalte dieser Präsentation basieren weitgehend auf der Publikation von Ernst & Young “Open Source Software im geschäftskritischen Einsatz” http://www.ey.com/CH/de/Services/Advisory/IT-Risk-and-Assurance ISACA AHS – Risiken von Open Source Software 30. August 2011 | 2
- 4. 1. Wie Open Source Projekte funktionieren ISACA AHS – Risiken von Open Source Software 30. August 2011 | 3
- 5. Hintergrundwissen zu Open Source Software Definition von Open Source Ein Software-Produkt wird als Open Source Software bezeichnet, wenn es unter einer der rund 70 von der Open Source Initiative (OSI, www.opensource.org) abgesegneten Lizenzen veröffentlicht ist. Eine solche Lizenz besagt (unter anderem) : 1. Der Quelltext der Software liegt in einer für Menschen verständlichen Form vor. 2. Die Software darf beliebig kopiert, verbreitet und genutzt werden. 3. Die Software darf verändert und in der veränderten Form weitergegeben werden. ISACA AHS – Risiken von Open Source Software 30. August 2011 | 4
- 6. Hintergrundwissen zu Open Source Software Open Source Projekte und Communities Inaktive Benutzer Aktive Open Source Community Benutzer Beitragende Mitwirkende Entwickler Kern- entwickler ISACA AHS – Risiken von Open Source Software 30. August 2011 | 5
- 7. Hintergrundwissen zu Open Source Software Community Building Prozess Open Source Projekt ISACA AHS – Risiken von Open Source Software 30. August 2011 | 6
- 8. Hintergrundwissen zu Open Source Software Häufige Vorurteile «Für Open Source Software gibt es keinen Support» «Die rechtliche Situation bei Open Source ist unklar» «Open Source Software ist gratis» «Open Source Software ist wenig verbreitet» «Bei Open Source Software gibt es keine Qualitätssicherung» «Es gibt keine Open Source Fachapplikationen» ISACA AHS – Risiken von Open Source Software 30. August 2011 | 7
- 9. 2. Vorteile, Risiken und Good Practices mit Open Source ISACA AHS – Risiken von Open Source Software 30. August 2011 | 8
- 10. Vorteile und Good Practices Vorteile von Open Source Software Risiken von Open Source Software + Kosteneinsparungen Good Practices: Software Portfolio Assessment Total Cost of Ownership Analysis Shared Maintenance Kontrolle über Software und Daten Good Practice: Vendor Risk Assessment Reputationsgewinn Good Practice: Open Source Marketing Rasche Verbreitung Good Practice: Open Source Project Management ISACA AHS – Risiken von Open Source Software 30. August 2011 | 9
- 11. Ausnützen der Vorteile: Good Practices Kosteneinsparungen Kontrolle über Software und Daten • Keine Verpflichtung bei der Anbieterwahl • Source Code öffentlich einsehbar • Skalierbarkeit der Lizenzen in einer Cloud-Umgebung • Keine Backdoors, keine Aktivierung, keine • Migration wichtig realistisch zu rechnen Registrierung • Daten jederzeit zugänglich Dank offenen Standards • Software-Anpassungen direkt ausgeführen • Abhängigkeiten zu Software-Anbietern nicht auszuschliessen Referenz: Evaluation von Open Source Intranet-Lösungen für eine Pensionskasse Referenz: Workshop für OOXML-Verbesserungen bei LibreOffice/OpenOffice.org ISACA AHS – Risiken von Open Source Software 30. August 2011 | 10
- 12. Ausnützen der Vorteile: Good Practices Reputationsgewinn Rasche Verbreitung • Positive Medienpräsenz bei Engagement für • Rasche und ungehinderte Verbreitung von Open Open Source Source • Vorbildliches «Digital Citizenship» • Etablierung in gesättigtem Markt möglich • Öffentliche Institutionen betreiben • Basis für Geschäftsmodell mit Services und Innovationsförderung Erweiterungen • Gewinn an Arbeitgeberattraktivität für gute • Community Management generiert externe Beiträge Informatiker Referenz: Entwicklung der Open Source Governance Richtlinien für neues Open Source Projekt ISACA AHS – Risiken von Open Source Software 30. August 2011 | 11
- 13. Risiken und Risikominimierung Vorteile von Open Source Software Risiken von Open Source Software - Verletzung der Open Source Lizenzbestimmungen Good Practices: Software Licensing Compliance Software Development Guidelines Unkontrollierter Einsatz von Open Source Software Good Practices: Quality Assessment Framework Enterprise Architecture Governance Support nicht gesichert Good Practice: Support Assessment Migration auf Open Source misslingt Good Practice: Integration Strategy ISACA AHS – Risiken von Open Source Software 30. August 2011 | 12
- 14. Risikominimierung: Good Practices Verletzung der Open Source Unkontrollierter Einsatz von Lizenzbestimmungen Open Source Software • Einhaltung aller Lizenzregelungen eine • Systematische Evaluation von Open Source notwenig Herausforderung • Open Source Charakteristiken berücksichtigen • Lizenz kann Veröffentlichung des Source Codes • IT Architekturvorgaben können umgangen werden erzwingen • Wildwuchs an eingesetzten Produkten und • Kennen der Open Source Lizenzen wichtig Komponenten • Rechtliche Risiken beim Open Source Einsatz abwägen ISACA AHS – Risiken von Open Source Software 30. August 2011 | 13
- 15. Risikominimierung: Good Practices Support nicht gesichert Migration auf Open Source misslingt • Unterscheidung von Open Source Koordination • Klassische Migrations-Herausforderungen plus einige • Organisations-geleitete vs. Community-getriebene weitere Open Source Projekte • Schwierige Integration wegen proprietären • Entweder Service Level Agreements abschliessen … Umsystemen • … oder mit Community und Entwickler • Endanwender oft kritisch eingestellt wegen fehlenden zusammenarbeiten Brands • Hybride Architektur und Power User Integration zu empfehlen ISACA AHS – Risiken von Open Source Software 30. August 2011 | 14
- 16. Good Practice: Open Source Strategie Mögliche Elemente einer Open Source Strategie Referenz: Open Source Strategie für den Kanton Basel-Stadt Vorteile und Risiken von Open Source Software bezogen auf die Organisation Generelle Richtlinien und Ziele zu Open Source Eine integrierte Software Open Source Vorgaben zur Reduktion von Abhängigkeiten zu proprietärer Software Strategie Berücksichtigung von Open Source Lösungen unterstützt bei Software-Beschaffungen nachhaltigen Vorgaben bezüglich Open Source Lizenzen, Erfolg in der IT. beispielsweise Pure Open Source oder auch Open Core Kriterien zur Evaluation von Open Source Software Regelung betreffend Freigabe von Open Source Software Aus- und Weiterbildung bezüglich Open Source Technologien, Organisation, Lizenzen etc. Umsetzungsmassnahmen der Strategieziele wie Studie, Pilotprojekte, Kompetenzstelle etc. ISACA AHS – Risiken von Open Source Software 30. August 2011 | 15
- 17. 3. Professioneller Einsatz von Open Source ISACA AHS – Risiken von Open Source Software 30. August 2011 | 16
- 18. Professioneller Einsatz von Open Source 1. Einsatz ohne professionellen Support Szenario Open Source Software gratis aus dem Internet laden und so wie sie ist einsetzen Einsatzbereich Nicht geschäftskritische Bereiche Zielgruppe Private, kleine und mittlere Unternehmen, kleine Schulen, Non-Profit Organisationen Vorteile • Niedrige Kosten • Rasche Umsetzung Nachteile • Kein garantierter Support • Keine Haftungsansprüche Risiko und Absicherung Hohes Risiko: Es bestehen keinerlei Support-Verträge oder Garantien ISACA AHS – Risiken von Open Source Software 30. August 2011 | 17
- 19. Professioneller Einsatz von Open Source 2. Einsatz mit internem Support Szenario Interner Aufbau von Knowhow und Ressourcen zu bestimmten Open Source Lösungen, um diese intensiv und langfristig einzusetzen Einsatzbereich Geschäftskritische Bereiche und wettbewerbsdifferenzierende Technologien Zielgruppe Grossunternehmen, öffentliche Verwaltungen, grosse Institutionen Vorteile • Hohe Flexibilität dank internem Knowhow • Keine Anbieterabhängigkeiten Nachteile • Hohe Investitionen und grosser Zeitaufwand durch Knowhow-Aufbau • Höhere interne Fixkosten durch mehr Mitarbeitende • Keine Zertifizierungen für Hardware und Software Risiko und Absicherung Mittleres Risiko: Der Support hängt von Knowhow und Verfügbarkeit der internen IT ab ISACA AHS – Risiken von Open Source Software 30. August 2011 | 18
- 20. Professioneller Einsatz von Open Source 3. Einsatz durch externen Anbieter Szenario Unterstützung durch einen externen Open Source Anbieter, um Open Source Software rasch zu integrieren und anzupassen Einsatzbereich Geschäftskritische Bereiche, in denen unmittelbar vertieftes Knowhow der Software verfügbar sein muss Zielgruppe Grossunternehmen, öffentliche Verwaltungen, grosse Institutionen Vorteile • Direkter Zugang zum Knowhow der Open Source Entwickler • Korrekturen und Weiterentwicklung auf Auftragsbasis • Auswahl verschiedener Open Source Anbieter • Weitere Vorteile gemäss Service Level Agreement Nachteile • Externe Kosten durch Open Source Anbieter • Knowhow-Abhängigkeit zum Open Source Anbieter Risiko und Absicherung Niedriges Risiko: Gewährleistung geschieht gemäss Auftragsbeschreibung oder Service Level Agreement ISACA AHS – Risiken von Open Source Software 30. August 2011 | 19
- 21. Was ist ein Open Source Anbieter? • Selber Open Source Lösung lanciert haben oder zumindest massgeblich an deren Weiterentwicklung beteiligt • Mitarbeitende als «Committer» im Open Source Projekt • Verfügt über Knowhow für regelmässige Sicherheitsaktualisierungen und Upgrades • Bietet Beratung für Open Source Produkte an, realisiert Software-Einführungen und Migrationen, entwickelt Verbesserungen und Erweiterungen und führt Schulungen durch • Bietet mittels Support-Verträgen während verbindlich deklarierter Zeitspanne Unterstützung für bestimmte Software- Version an • Ermöglicht grundlegende Weiterentwicklung der Open Source Software und sichert nachhaltiges Bestehen ISACA AHS – Risiken von Open Source Software 30. August 2011 | 20
- 22. Service Level Agreements für Open Source Lösungen Mögliche Leistungen von Open Source Anbietern Direkter Zugang zum Knowhow der Kernentwickler der Open Source Software Definierte Antwortzeiten für Support-Anfragen Support über verschiedene Kanäle (Web, VPN, Email, Chat, Telefon, Remote-Desktop, vor Ort) Angebot von professionellen Dokumentationen, Schulungen und Zertifizierungskursen Zeitnahe, pro-aktive und kundenfreundliche Auslieferung von Security Patches Zugesicherte, regelmässige Software Releases und Updates Garantie für Kompatibilität mit anderen Software- Lösungen Zertifizierungen für bestimmte Hardware und proprietäre Software-Systeme Integration von Korrekturen und Erweiterungen in die Hauptentwicklungsversion Absicherung gegen Rechtsansprüche am geistigen Eigentum (Copyright, Patente) Haftung bei Unterbrüchen und Fehlfunktionen ISACA AHS – Risiken von Open Source Software Bereitstellung zusätzlicher proprietärer 2011 | 21 30. August Erweiterungen und Hilfswerkzeuge
- 23. Geschäftsmodelle mit Open Source Software • Dienstleistungen rund um Open Source Software: • Beratung • Installation, Integration • Anpassungen, Erweiterungen • Schulungen, Workshops • Betrieb, Wartung (Service Level Agreements) • Lizenzverkauf von proprietären Erweiterungen (Open Core) • Verkauf einer Distribution von Open Source Paketen (Red Hat) • Verkauf von Werbung (Google Android) • Verkauf von Hardware (IBM, HP) • Dual Licensing (MySQL) ISACA AHS – Risiken von Open Source Software 30. August 2011 | 22
- 24. Dual Licensing • Urheber kann Software beliebig lizenzieren • Veröffentlichung identischer Software unter zwei unterschiedlichen Lizenzen, typischerweise eine restriktive Open Source Lizenz (GPL) und eine proprietäre Lizenz • Nutzung der Vorteile beider Welten: Proprietäre Lizenz Open Source Lizenz Vorteile für • Umsatzgenerierung • rasche Verbreitung der Open Source Lizenzgeber Software -> Marktdurchdringung • Hohe Anwenderzahl gut für Testen, Fehlersuche und Stabilität des Produkts Vorteile für • Code kann innerhalb eigener • Keine Lizenzkosten Lizenznehmer proprietärer Software weiterverwendet werden ISACA AHS – Risiken von Open Source Software 30. August 2011 | 23
- 25. 4. Rechtliche Grundlagen von Open Source ISACA AHS – Risiken von Open Source Software 30. August 2011 | 24
- 26. Verbreitung von Open Source Lizenzen Andere Mozilla Public License 1.1 (MPL) 7% Microsoft Public License (Ms-PL) 1% 2% Code Project Open 1.02 License 3% Apache License 2.0 5% Berkeley Software Distribution License 2.0 (BSD) 6% GNU General Public 46% License 2.0 (GPLv2) GNU General Public 6% License 3.0 (GPLv3) Massachusetts 7% Institute of Technology (MIT) License GNU Library oder 8% Lesser General Public License 2.1 (LGPL) 9% Artistic License ISACA AHS – Risiken von Open Source Software 30. August 2011 | 25
- 27. Die wichtigsten Open Source Lizenzen Mit starkem Copyleft Schutz (ca. 52%) • GNU Affero General Public License (AGPL) • GNU General Public License (GPL) Mit schwachem Copyleft Schutz (ca. 8%) • GNU Library or Lesser General Public License (LGPL) Ohne Copyleft Schutz (ca. 40%) • MIT-, BSD- und Apache Licenses • Mozilla Public License (MPL) • (fast) alle anderen OSI-ratifizierten Lizenzen ISACA AHS – Risiken von Open Source Software 30. August 2011 | 26
- 28. Copyleft Effekt • Copyleft bezweckt, dass ein bestimmter Source Code für immer frei erhältlich bleibt. • Durch eine Copyleft Klausel geschützter Source Code darf immer nur unter der ursprünglichen Open Source Lizenz weitergegeben werden (sog. viraler Effekt). • Der Copyleft Effekt verbietet: • dass die veränderte Software („derived Copyleft-Klausel, z.B. aus work“) proprietär vertrieben wird der GNU General Public License, version 3 (GPLv3) • Der Copyleft Effekt verbietet nicht: “[…] If you distribute • die unveränderte Nutzung copies of such a program, • die Organisations-interne Entwicklung whether gratis or for a fee, Beachten: Verbreitung von Software innerhalb you must pass on to the einer Unternehmensgruppe gilt als recipients the same Veröffentlichung -> Folge: Source Code muss freedoms that you intern mitgeliefert werden received. You must make • den Aufruf von Copyleft geschützten sure that they, too, receive selbständigen Programmteilen durch or can get the source code. proprietär vertriebene Software And you must show them these terms so they know ISACA AHS – Risiken von Open Source Software their rights. […]” 2011 | 27 30. August
- 29. Unterschiede der wichtigsten Open Source Lizenzen Schwacher Starker Schutz sog. Liberale Open Schutz der der Freiheiten Source Lizenzen Freiheiten AGPLv3 LGPLv3 License License License Apache (v2 und & BSD GPL MIT v3) 2.o Freier Zugang zum Quellcode Ja Ja Ja Ja Ja Der Quellcode darf innerhalb der rechtlichen Einheit verändert und mit Ja Ja Ja Ja Ja beliebiger anderer Software kombiniert werden. Der Quellcode darf auf Webservern verschlossen bleiben: Wird die Software nicht physisch an Kunden oder Partner verteilt, sondern wird sie Nein Ja Ja Ja Ja ausschliesslich beispielsweise auf einem Webserver den Benutzern zur Verfügung gestellt, muss der Quellcode nicht veröffentlicht werden. Der Quellcode darf mit proprietärer Software verteilt werden: Solange LGPL lizenzierte Software ausschliesslich extern beispielsweise als Nein Nein Ja Ja Ja Programmbibliothek aufgerufen wird, darf sie zusammen mit proprietärer Software verteilt werden. Veränderungen dürfen verschlossen bleiben: Als wesentlicher Unterschied zu den Lizenzen der Free Software Foundation (AGPL, GPL und LGPL) erlauben liberale Lizenzen, dass der Quellcode in proprietäre Software eng Nein Nein Nein Ja Ja integriert werden darf. Verbesserungen und Erweiterungen des Quellcodes müssen somit nicht mehr frei gegeben werden, sondern dürfen verschlossen bleiben. Einzige Pflicht ist das Einfügen eines vorgegeben Copyright Vermerks und Ja Nein Nein Nein Nein einer Haftungsausschlussklausel im Quellcode. Lizenzkompatibilität ISACA AHS – Risiken von Open Source Software 30. August 2011 | 28
- 30. License Compliance bei Open Source Software Checkbox License Compliance bei Open Source Software Wir wissen, ob in unserer Organisation Open Source Software eingesetzt wird Wir wissen, unter welcher Lizenz die betreffende Open Source Software steht, und welche Auflagen folglich zu beachten sind. Wir haben festgelegt, ob und wann bei uns GPL- Software in der Entwicklung verwendet werden darf Unsere Programmierer sind sich bewusst, welche Folgen die Integrierung von GPL-lizenzierten Komponenten in unsere Software hat Regelmässige Kontrollen stellen sicher, dass unsere internen Bestimmungen über den Umgang mit Open Source Software eingehalten werden ISACA AHS – Risiken von Open Source Software 30. August 2011 | 29
- 31. 5. Fazit und Ausblick ISACA AHS – Risiken von Open Source Software 30. August 2011 | 30
- 32. Inhaltliche Zusammenfassung Open Source ist keine Glaubensfrage • Klare Definition von Open Source: eine Software-Lizenz mit Freiheiten • Objektive Vor- und Nachteile von Open Source Software • Bei gleicher Produkte-Qualität ist Open Source von Vorteil ggü. proprietärer Software Summary Open Source Software muss gesteuert werden • Open Source Software ist allgegenwärtig • Beschaffung und Einsatz von Open Source Software geschieht oft unkontrolliert • Open Source Strategien und Policies zur Verbesserung der IT Governance Volles Potential mittels Open Source Strategie nutzen Executive • Vorteile für die eigene Organisation mittels Open Source Strategie nutzen • Risiken frühzeitig erkennen und adressieren • Umsetzungsmassnahmen festlegen und durchführen Wissen aus erster Hand ist gefragt • Herausforderung: Vielfalt von Open Source Lösungen und Projekten • Wissen und Erfahrung selber beschaffen oder Experten kontaktieren ISACA AHS – Risiken von Open Source Software 30. August 2011 | 31
- 33. Fazit Open Source Software aus Risiko-Sicht Open Source Software ist weniger risikoreich als proprietäre Software • Nutzung von unveränderter Open Source Software ist völlig frei -> Nutzung von unveränderter proprietärer Software ist stark eingeschränkt Summary • Interne Entwicklung von Open Source Software ist völlig frei -> Interne Entwicklung von proprietärer Software ist selten möglich • Entwicklung und Weiterverteilung von Open Source Software ist teilweise eingeschränkt -> Entwicklung und Weiterverteilung von proprietärer Software ist normalerweise verboten Open Source Lizenzen sind nicht komplexer Executive als proprietäre Lizenzen • Es existiert eine beschränkte Anzahl von Open Source Lizenzen • 93% der Open Source Projekte setzen eine von 10 Open Source Lizenzen ein • Proprietäre Software hat pro Hersteller und Produkte andere Lizenzbestimmungen Risiken von Open Source Software beachten • Hauptproblem: Open Source Software hat Kommunikations- und Werbe-Defizit • Spezifische Eigenschaften von Open Source Software kennen und Risiken beachten ISACA AHS – Risiken von Open Source Software 30. August 2011 | 32
- 34. Unsere Dienstleistungen Der gezielte Einsatz von Open Source Software bietet grosse Vorteile, birgt aber auch gewisse Risiken. Summary Mit der Erarbeitung einer Open Source Strategie, einem Software Portfolio Assessment, einer TCO- Analyse oder einem License Compliance Check helfen wir unseren Kunden, sowohl das volle Potential von Open Source auszuschöpfen als auch die Risiken zu minimieren. Executive Unsere Open Source Experten besitzen langjährige Erfahrung im Umgang mit Open Source Technologien und Communities und unsere Juristen prüfen kompetent die rechtlichen Aspekte im Zusammenhang mit Open Source Lizenzen. ISACA AHS – Risiken von Open Source Software 30. August 2011 | 33
- 35. Fragen & Antworten ? Antworten Fragen & ISACA AHS – Risiken von Open Source Software 30. August 2011 | 34